Tous les produits
Search

Ce produit

    VPN Gateway:Configure routes for an IPsec-VPN connection (Transit Router)

    Centre de documentation

    VPN Gateway:Configure routes for an IPsec-VPN connection (Transit Router)

    Dernière mise à jour :Sep 17, 2026

    Après avoir attaché une connexion IPsec-VPN à un routeur de transit (TR), configurez les routes sur la connexion pour acheminer le trafic entre le TR et votre centre de données local.

    Choisir une méthode de routage

    Une connexion IPsec-VPN attachée à un TR prend en charge deux méthodes de routage : le routage statique et le routage dynamique BGP. Pour une comparaison, consultez Choisir une méthode de routage.

    Recommandations :

    • Nous vous recommandons d'utiliser BGP. Si vous optez pour le routage statique, assurez-vous que votre passerelle locale prend en charge le routage ECMP (Equal-Cost Multi-Path) statique.

    • N'utilisez qu'une seule méthode de routage par connexion IPsec-VPN. N'activez pas simultanément le routage statique et BGP.

    • Pour une même connexion IPsec-VPN, nous vous conseillons de configurer le même protocole de routage pour les deux tunnels. Lorsque vous utilisez BGP, les deux tunnels doivent partager le même ASN local.

    Priorité des routes :

    • Dans la table de routage de la connexion IPsec-VPN, les correspondances sont établies selon le principe du plus long préfixe correspondant.

    • Dans la table de routage du routeur de transit, si plusieurs connexions IPsec-VPN annoncent à la fois des routes de destination et des routes BGP vers le TR pour le même bloc CIDR de destination, les routes BGP sont prioritaires. Consultez la section Priorité des routes du TR.

    Configuration du routage statique

    Important

    Lorsque vous utilisez des routes statiques, vérifiez que votre passerelle locale prend en charge le routage ECMP statique. Lorsqu'une connexion IPsec-VPN est attachée à un TR, le trafic du cloud vers votre centre de données local utilise automatiquement des liens ECMP. Si le trafic de votre centre de données local vers le cloud ne prend pas en charge l'ECMP, cela peut entraîner des chemins de routage asymétriques.

    Vue d'ensemble de bout en bout

    Lorsque vous utilisez le routage statique avec une connexion IPsec-VPN attachée à un TR pour connecter des VPC à un centre de données local, vous devez gérer trois tables de routage :

    Sens du trafic

    Table de routage du routeur de transit

    Table de routage de la connexion IPsec-VPN

    Table de routage du centre de données local

    Sortant du cloud

    Activez l'apprentissage des routes.

    Le TR apprend alors automatiquement les entrées de route de destination depuis la connexion IPsec-VPN.

    Lors de la création d'une connexion IPsec-VPN, l'apprentissage des routes est activé par défaut si vous conservez l'option Automatically Advertise System Routes to Default Route Table of Transit Router sélectionnée.

    Ajoutez manuellement une entrée de route :

    Définissez le bloc CIDR de destination comme étant celui de votre centre de données local et le saut suivant comme étant la connexion IPsec-VPN.

    Assurez-vous qu'une route vers le réseau interne de votre centre de données local existe sur votre appareil de passerelle. Sinon, ajoutez-en une manuellement.

    Entrant dans le cloud

    1. Créez une relation de transfert associé.

      La connexion IPsec-VPN transfère ensuite le trafic en fonction de la table de routage du routeur de transit.

      Lors de la création d'une connexion IPsec-VPN, cette relation est créée par défaut si vous conservez l'option Automatically Associate with Default Route Table of Transit Router sélectionnée.

    2. Activez la synchronisation des routes.

      Le TR annonce automatiquement ses entrées de route à la table de routage de la connexion IPsec-VPN.

      Lors de la création d'une connexion IPsec-VPN, la synchronisation des routes est activée par défaut si vous conservez l'option Automatic Advertising sélectionnée.

    Aucune configuration n'est requise.

    Le système transfère le trafic vers le TR par défaut.

    Ajoutez manuellement deux routes ECMP statiques : toutes deux avec le bloc CIDR de destination du VPC, et chacune avec un saut suivant pointant vers l'un des deux tunnels de la connexion IPsec-VPN.

    Ajouter ou supprimer une route statique

    Console

    Ajouter une route statique

    1. Cliquez sur l'ID de la connexion IPsec-VPN pour ouvrir sa page de détails.

    2. Dans l'onglet Destination-based Route Table, cliquez sur Add Route Entry :

      • Destination CIDR Block : Saisissez le bloc CIDR de votre centre de données local.

      • Next Hop : Sélectionnez cette connexion IPsec-VPN.

    Supprimer une route statique

    Dans la colonne Actions de l'entrée de route, cliquez sur Delete.

    API

    Limites

    • Les routes ayant un bloc CIDR de destination égal à 0.0.0.0/0 ne sont pas prises en charge.

    • N'ajoutez pas de routes contenant 100.64.0.0/10 (y compris ses sous-réseaux et super-réseaux). Sinon, l'état de la connexion IPsec deviendra anormal.

    • En mode double tunnel, les routes de destination sont annoncées à la table de routage du routeur de transit uniquement lorsque l'état du tunnel est Phase 2 Negotiation Succeeded.

    Configuration du routage dynamique BGP

    Le routage dynamique BGP établit un peering BGP entre une connexion IPsec et un centre de données local pour apprendre et annoncer automatiquement les routes.

    Vue d'ensemble de bout en bout

    Lorsque vous utilisez BGP et une connexion IPsec-VPN liée à un routeur de transit (TR) pour connecter un VPC à un centre de données local, vous devez gérer les trois tables de routage suivantes :

    Sens du trafic

    Table de routage du routeur de transit

    Table de routage de la connexion IPsec

    Table de routage du centre de données local

    Trafic sortant

    Activez l'apprentissage des routes.

    Une fois activé, le TR apprend automatiquement les entrées de route de destination depuis la connexion IPsec.

    Lors de la création d'une connexion IPsec, l'apprentissage des routes est activé par défaut car l'option Automatically Advertise System Routes to Default Route Table of Transit Router est sélectionnée.

    Activez BGP.

    Une fois activé, les blocs CIDR du cloud sont automatiquement annoncés au centre de données local, et les blocs CIDR locaux sont automatiquement appris.

    Activez BGP.

    Une fois activé, les blocs CIDR locaux sont automatiquement annoncés au cloud, et les blocs CIDR du VPC sont automatiquement appris.

    Trafic entrant

    1. Créez une relation de transfert associé.

      Une fois créée, le trafic provenant de la connexion IPsec est transféré en fonction de la table de routage du TR.

      Lors de la création d'une connexion IPsec, une relation de transfert associé est créée par défaut car l'option Automatically Associate with Default Route Table of Transit Router est sélectionnée.

    2. Activez la synchronisation des routes.

      Une fois activée, le TR propage automatiquement les entrées de sa table de routage vers la table de routage de la connexion IPsec.

      Lors de la création d'une connexion IPsec, la synchronisation des routes est activée par défaut car l'option Automatic Advertising est sélectionnée.

    Principes d'annonce des routes BGP

    • Trafic entrant : Le centre de données local annonce les routes via BGP → Les routes sont propagées vers la table de routage BGP de la connexion IPsec → Les routes sont propagées vers la table de routage du TR via l'apprentissage des routes.

    • Trafic sortant : Routes de la table de routage du TR → Les routes sont propagées vers la table de routage BGP de la connexion IPsec via la synchronisation des routes → Les routes sont propagées vers le centre de données local via BGP.

    Étapes de configuration

    Console

    1. Spécifiez l'ASN du centre de données local dans la passerelle client

      Lors de la création d'une passerelle client, spécifiez le numéro de système autonome (ASN) du centre de données local. Si une passerelle client existante ne possède pas d'ASN spécifié, créez-en une nouvelle. Pour plus d'informations, consultez la section Passerelle client.

    2. Activez BGP dans la connexion IPsec

      • Lors de la création ou de la modification d'une connexion IPsec, configurez les paramètres Customer Gateway, Enable BGP, Local ASN, Tunnel CIDR Block et Local BGP IP address. Pour les descriptions des paramètres et les instructions, consultez la section Activer ou désactiver BGP (pour les connexions liées à un TR).

      • Les ASN locaux des deux tunnels doivent être identiques. Les numéros AS BGP pairs doivent également être les mêmes.

      • Pour le Mode de routage de la connexion IPsec, sélectionnez Destination Route Mode.

    3. Vérifiez que les routes BGP ont pris effet

      • Table de routage BGP de la passerelle VPN : Sur la page de détails de l'instance de passerelle VPN, accédez à l'onglet BGP Route Table pour afficher les routes. La source de la route est indiquée comme « CLOUD » (routes cloud) ou « VPN_BGP » (routes apprises via BGP).

      • Table de routage système du VPC : Dans la table de routage système du VPC, affichez les entrées de type « Dynamic Route ».

    API

    1. Spécifiez l'ASN du centre de données local dans la passerelle client

      Appelez l'opération CreateCustomerGateway pour créer une passerelle client et spécifier l'ASN du centre de données local.

    2. Activez BGP dans la connexion IPsec

    3. Vérifiez que les routes BGP ont pris effet

      Appelez l'opération DescribeVcoRouteEntries pour interroger les entrées de route BGP.

    Limites

    • Mode double tunnel : Chaque connexion IPsec peut recevoir jusqu'à 2 000 routes BGP (1 000 par tunnel). Cette limite ne peut pas être modifiée.

    • Mode simple tunnel : Chaque connexion IPsec peut recevoir jusqu'à 50 routes BGP. Pour augmenter la limite à 200, soumettez un ticket.

    • Une route avec le bloc CIDR de destination 0.0.0.0/0 peut être propagée via BGP entre un TR et un appareil de passerelle local. Cela diffère du scénario de passerelle VPN.

    • Lorsque vous utilisez un circuit Express Connect et une connexion IPsec en mode actif-passif pour vous connecter à un TR, l'ASN local configuré pour le routeur de bordure virtuelle (VBR) et la connexion IPsec doit être identique.

    Régions prises en charge

    Le routage dynamique BGP pour les connexions IPsec attachées à un TR est pris en charge uniquement dans les régions suivantes :

    Zone

    Région

    Asie-Pacifique

    Chine (Hangzhou), Chine (Shanghai), Chine (Qingdao), Chine (Beijing), Chine (Zhangjiakou), Chine (Hohhot), Chine (Shenzhen), Chine (Hong Kong), Japon (Tokyo), Singapour, Malaisie (Kuala Lumpur), Indonésie (Jakarta)

    Europe et Amériques

    Allemagne (Francfort), Royaume-Uni (Londres), États-Unis (Virginie), États-Unis (Silicon Valley)

    Moyen-Orient

    Émirats arabes unis (Dubaï)
    Remarque

    Certaines régions ont été mises à niveau pour prendre en charge le routage dynamique BGP. Les connexions IPsec-VPN en mode simple tunnel créées avant la mise à niveau ne prennent pas en charge BGP. Les nouvelles connexions créées après la mise à niveau utilisent le mode double tunnel par défaut et prennent automatiquement en charge BGP. Pour utiliser BGP, créez une nouvelle connexion IPsec-VPN.